Ochrana osobních údajůImplementace GDPR

Mgr. Alena Straubová,advokátka

AK Smetanova 8602 00 Brno

Mgr. Alena Straubová

OSNOVA PREZENTACE

Mgr. Alena Straubová

1) Úvod do GDPR

a) Zásady zpracování OÚ v praxi

b) Základní povinnosti správce při zpracování OÚ

2) Proces implementace GDPR

a) Analýza zpracování

b) Analýza procesů

c) Analýza smluv

d) Ustanovení pověřence pro ochranu osobních údajů

3) Nejčastější problémy při implementaci GDPR

4) Dotazy

1) Úvod do GDPR

Úvod do GDPR

Mgr. Alena Straubová

Nařízení Evropského parlamentu a rady 2016/679, obecné nařízení o ochraně osobních údajů (General Data Protection Regulation)

• navazuje na dosavadní právní úpravu - směrnici 95/46/ES, zákon č. 101/2000 Sb., o ochraně osobních údajů

• norma s přímou aplikací, společná pro všechny členské státy EU

• platnost od 24. 5. 2016, účinnost od 25. 5. 2018

Věcná působnost

• zpracování OÚ žijících osobních osob orgány a institucemi EU i podnikatelskými, profesními či zájmovými subjekty

Místní působnost

• subjekty se sídlem či provozovnou na území EU

• subjekty poskytující zboží a služby občanům EU

Důvody vydání nové legislativy

Cíle GDPR

Mgr. Alena Straubová

Důvody pro vydání GDPR:

• Vývoj moderních technologií

• Existence otevřeného evropského trhu

Cíle GDPR:

• Zajištění jednotné ochrany osobních údajů

• Zvýšení ochrany osobních údajů

• Odstranění překážek bránících volnému pohybu osobních údajů v EU

Zásady zpracování OÚ

Mgr. Alena Straubová

Zásada zákonnosti, korektnosti a transparentnosti• zpracování na základě právního důvodu• zpracování v souladu s GDPR• zpracování transparentní pro subjekt OÚ

Zásada účelového omezení• přesné vymezení účelu zpracování OÚ před zahájením

zpracování• zákaz rozšiřování účelu zpracování

Zásady zpracování OÚ

Mgr. Alena Straubová

Zásada minimalizace OÚ• zpracování pouze v rozsahu nezbytném pro daný účel • zákaz neúčelného hromadění OÚ

Zásada přesnosti OÚ • povinnost zpracovávat přesné a aktualizované údaje

Zásada omezení uložení OÚ• zpracování OÚ pouze po dobu nezbytně nutnou• stanovení doby zpracování a uložení OÚ

Soulad se zásadami zpracování osobních údajů

Mgr. Alena Straubová

Zásada integrity a důvěrnosti • zabezpečení osobních údajů před poškozením,

zničením, zneužitím, zcizením• omezení přístupu k osobním údajům

Zásada odpovědnosti správce • odpovědnost správce za dodržování GDPR• přenesení důkazního břemene na správce

Základní povinnosti při zpracování OÚ

Mgr. Alena Straubová

1) Informační povinnost

2) Zabezpečení osobních údajů

3) Vedení záznamů o činnostech zpracování

4) Úprava smluv o zpracování OÚ dle GDPR

5) Pověřenec pro ochranu osobních údajů

Informační povinnost

Mgr. Alena Straubová

• projev zásady transparentnosti zpracování OÚ• základní právo každého subjektu osobních údajů

Obsah informačního sdělení:

• totožnost správce, pověřence pro ochranu osobních údajů, kontaktní údaje

• účel, doba, právní důvod zpracování

• kategorie OÚ

• práva subjektu OÚ

• okruh příjemců OÚ

• informace o automatizovaném rozhodování a profilování

• zdroj OÚ, pokud jsou získány od třetí osoby

Informační povinnost

Mgr. Alena Straubová

Splnění informační povinnosti

• před zahájením zpracování OÚ, pokud jsou osobní údaje získány od subjektu OÚ

• do 1 měsíce od získání OÚ, pokud jsou osobní údaje získány od třetí osoby

• v průběhu zpracování OÚ na žádost subjektu osobních údajů

Způsob předání informací:

• prostřednictvím vhodných opatření – osobním předáním, vyvěšením, zveřejněním na webových stránkách

• stručně, přehledně, srozumitelně, jednoduše

Zabezpečení osobních údajů

Mgr. Alena Straubová

Přijetí přiměřených opatření

• organizační opatření – interní směrnice

• technická opatření

mechanická – zámky

technologická – hesla, šifrování, antivirové programy

Vedení dokumentace o přijatých opatřeních

• projev zásady odpovědnosti

• např. protokol o seznámení s interní směrnicí, záznamy o přístupu k osobním údajům

Hodnocení zavedených opatření

• vyhodnocení efektivity a aktuálnosti opatření

Vedení záznamů o činnostech zpracování

Mgr. Alena Straubová

• písemný dokument (v listinné podobě nebo elektronicky)

• obsah záznamů o činnostech zpracování

informace o správci osobních údajů, pověřenci, kontaktní údaje

informace o zpracování osobních údajů

popis technických a organizačních bezpečnostních opatření

výjimka z povinnosti – malý podnik zaměstnávající méně než 250 osob, pokud

o zpracování není rizikové

o zpracování je příležitostné

o správce nezpracovává citlivé osobní údaje

Úprava smluv o zpracování osobních údajů

Mgr. Alena Straubová

• smlouva o zpracování OÚ – každá smlouva o dodávce služeb, jejíž součástí je práce s osobními údaji, např. smlouva o správě IT sítě, smlouva o servisu software, smlouva o poskytování cloudových služeb, smlouva o vedení mzdového účetnictví apod.

• povinnost písemné formy

předmět a doba trvání zpracování

povaha a účel zpracování

typ osobních údajů

kategorie subjektů osobních údajů

povinnosti a práva správce

poskytnutí záruk ochrany OÚ

Pověřenec na ochranu osobních údajů

Mgr. Alena Straubová

Jmenování pověřence

• Dobrovolné

• Povinné

Orgány veřejné moci a veřejné subjekty

Subjekty provádějící monitoring nebo profesionálně zpracovávající osobní údaje

Subjekty provádějící rozsáhlé zpracování citlivých osobních údajů

Pověřenec na ochranu osobních údajů

Mgr. Alena Straubová

Hlavní povinnosti pověřence:

poradenství subjektům OÚ v souvislosti s GDPR

poradenství správcům a zpracovatelům OÚ v souvislosti s GDPR

monitorování a kontrola činnosti správce OÚ – kontrola dodržování GDP

spolupráce s dozorovým orgánem a kontaktní místo

2) Proces implementace GDPR

Proces implementace GDPR

Mgr. Alena Straubová

1) Analýza zpracování

2) Analýza procesů

3) Analýza smluv

4) Ustanovení pověřence pro ochranu osobních

údajů

Analýza zpracování osobních údajů

Mgr. Alena Straubová

• Analýza činností, při kterých dochází ke zpracování OÚ

definování účelu a subjektů osobních údajů

• Analýza rozsahu zpracovávaných OÚ výmaz nadbytečných OÚ

• Posouzení právního důvodu zpracování

• Posouzení délky zpracování OÚ

• Posouzení předávání a zveřejňování OÚ

Analýza zpracování osobních údajů

Mgr. Alena Straubová

• Výsledky analýzy

Informace o činnostech zpracování – podklady pro splnění zákonné informační povinnosti

Záznamy o činnostech zpracování – podklady pro zajištění povinné interní dokumentace správce

Analýza procesů osobních údajů

Mgr. Alena Straubová

• Vyhodnocení získávání osobních údajů

• Vyhodnocení ukládání OÚ v listinné podobě

• Vyhodnocení ukládání OÚ v elektronické podobě

• Vyhodnocení likvidace OÚ

V listinné podobě – skartace

V elektronické podobě – přepis dat, likvidace disku

Analýza procesů osobních údajů

Mgr. Alena Straubová

• Výsledek analýzy

podklady pro přijetí vhodných organizačních opatření – interní směrnice o ochraně osobních údajů, směrnice o informačních technologiích, organizační řád, archivační a skartační řád

podklady pro vyhodnocení rizik zpracování osobních údajů

Analýza smluvních vztahů

Mgr. Alena Straubová

• Posouzení, zda v rámci smluvního vztahu dochází ke zpracování osobních údajů

• Posouzení, zda smlouva obsahuje dohodu o zpracování osobních údajů dle GDPR

• V případě rozporu smlouvy s GDPR

uzavření dodatku ke smlouvě nebo samostatné smlouvy o zpracování OÚ

vypovězení smlouvy

Analýza smluvních vztahů

Mgr. Alena Straubová

● Doporučený obsah dohody o zpracování OÚ

předmět a doba trvání zpracování – jaké OÚ bude zpracovatel zpracovávat a jak dlouho

povaha a účel zpracování – jaké činnosti bude správce s osobními údaji provádět a za jakým účelem

typ osobních údajů a kategorie subjektů OÚ – kategorie OÚ, se kterými bude zpracovatel pracovat (především upozornit na citlivé OÚ) a označení subjektů OÚ (důraz na chráněné skupiny - nezletilé)

práva a povinnosti správce – právo správce na součinnost v případě kontroly dozorového orgánu, právo správce provádět audit či inspekci u zpracovatele

záruky zpracovatele k ochraně OÚ – závazek dodržovat GDPR, sjednání úrovně zabezpečení, poskytnutí informací o zabezpečení osobních údajů (obzvlášť u služeb IT)

odpovědnost zpracovatele za porušení povinností – povinnost zpracovatele uhradit vzniklou škodu

Ustanovení pověřence na ochranu osobních údajů

Mgr. Alena Straubová

Předpoklady pro výkon funkce

• profesní kvality

• odborná znalost práva

• předchozí praxe v oblasti ochrany osobních údajů

Výkon funkce na základě smlouvy

• smlouva o poskytování služeb

• pracovní smlouva

• Zákaz výkonu činnosti vedoucí ke střetu zájmů

• Subjekt bez rozhodovacích pravomocí a bez odpovědnosti dle GDPR

odpovědnost vůči správci za porušení smluvních povinností zachována

• Povinnost mlčenlivosti

Ustanovení pověřence na ochranu osobních údajů

Mgr. Alena Straubová

Interní – zaměstnanec správce OÚ

klady - znalost organizační struktury správce

zápory - odpovědnost správce OÚ za kvalifikaci pověřence, riziko střetu zájmů, limitace náhrady školy

Externí – podnikatel poskytující službu

klady - větší flexibilita, odpovědnost poskytovatele za kvalifikaci pracovníků, vysoká odborná úroveň, neomezená náhrada škody

zápory - nutnost seznámit se s organizační strukturou správce

Poskytovatelé služeb: komerční subjekty, advokátní kanceláře, neziskové organizace

3) Nejčastější problémy při implementaci GDPR

Nedostatky při implementaci GDPR

Mgr. Alena Straubová

Obvyklé nedostatky u školských zařízení a jiných příspěvkových organizací:

• nesprávné zjištění právního důvodu zpracování – nadužívání souhlasu se zpracováním OÚ x absence právního důvodu zpracování

• neznalost účelů, pro které osobní údaje zpracovávají

• hromadění nepotřebných údajů (např. emaily, číslo OP, rodné číslo v rámci doplňkové činnosti) – zpracování OÚ, které nejsou povinné ani nutné pro poskytování služeb nebo výkon činnosti

• absence stanovení doby zpracování osobních údajů, opožděná likvidace osobních údajů – nejasnosti v délce zpracování OÚ, pozdní likvidace OÚ

• nesprávné nastavení přístupových oprávnění k osobním údajům

• nedostatečná ochrana přístupových hesel k elektronickým databázím – užívání jednoho hesla, zapisování hesel na dostupná místa

• nedostatečná nebo chybějící dokumentace upravující nakládání s osobními údaji – absence směrnic, interní dokumentace

4) Dotazy

Dotaz: Jak je to s ochranou osobních údajů při pořizování fotek účastníků (dětí i dospělých) v rámci vzdělávacích akcí, jak tuto problematiku ošetřit, jaké by měly být náležitosti souhlasu, jaké jsou podmínky užívání pořízených fotek apod.?

Mgr. Alena Straubová

Právní úprava pořizování obrazových záznamů

ust. § 84 an. zákona č. 89/2012 Sb., občanského zákoníku, právní úprava osobnostních práv

zákon č. 101/2000 Sb., o ochraně osobních údajů, GDPR, právní úprava zpracování OÚ

Způsob nakládání s fotografiemi

zveřejnění fotografií bez dalších osobních údajů → OZ

souhlas s pořízením a šířením fotografie dle OZ

zveřejnění fotografií včetně dalších osobních údajů → OOÚ

souhlas se zpracováním OÚ, informační povinnost správce

Dotaz: Spolek s celostátní působností (právní subjektivita) eviduje zákl. údaje o členech pro vlastní potřebu a dále pro žádosti a následné vyúčtování dotací a grantů. Spolek má pobočné spolky s právní subjektivitou (jiné IČO) a ty navíc shromažďují a využívají další OÚ. Už nyní máme souhlasy členů či jejich zákonných zástupců k evidence OÚ. Kdo je ale správcem a zpracovatelem? Pobočný spolek nebo hlavní spolek? Oba subjekty jsou řádně zapsány u přísl. soudu. 

Mgr. Alena Straubová

právní subjektivita pobočného spolku se odvozuje od právní osobnosti hlavního spolku

rozsah práv a povinností, která může nabývat spolek, je stanoven stanovami hlavního spolku → identifikace záleží na individuální organizaci daného spolku

pro posouzení vzájemných vztahů je významné – text stanov, úprava členství (ve vztahu k OÚ členů), právo uzavírat pracovně-právní smlouvy (ve vztahu k zaměstnancům), vstupovat do civilních kontraktů (správa OÚ obchodních partnerů)

Děkujeme Vám za Vaši pozornost !

Mgr. Alena Straubová,advokátka

Mgr. Alena Straubová